Plus de 80% des responsables IT pensent qu’un vol de données interne est probable dans leur entreprise, mais environ 60% déclarent ne pas avoir de procédure stricte dans ce domaine.
LogRhythm, spécialiste de la Security Intelligence, annonce les résultats d’une étude* menée auprès de responsables IT d’entreprises françaises, à propos de leur perception de la sécurité au sein de leurs entreprises, et notamment des risques en interne. D’après l’enquête, les entreprises françaises ont bien conscience des dangers liés au vol de données et des conséquences pour leurs organisations. Toutefois, il semble que les bonnes intentions ne soient pas mises en pratique et qu’une remise en question des systèmes et stratégies de sécurité en place ne soit toujours pas à l’ordre du jour.
En effet, selon l’étude, 87% des entreprises françaises pensent qu’elles courent peut-être un risque de sécurité actuellement, dont 34,5% des répondants qui en sont persuadés. Pourtant, 70% des organisations indiquent n’avoir rien changé à leurs systèmes de sécurité suite aux récentes affaires de vol de données, alors que 58% d’entre elles se disent plus inquiètes sur ce sujet suite aux révélations de Snowden.
Bien que cette dernière affaire ait été érigée en parfait exemple de ce que l’on peut craindre pour les données confidentielles de la part d’employés ou de partenaires mal intentionnés, l’étude révèle que les entreprises y attachent moins d’importance qu’aux menaces externes : 52% des répondants pensent que les menaces les plus sérieuses pour les informations confidentielles de leur entreprise viennent de l’extérieur contre 37% qui jugent les menaces internes comme étant plus importantes.
Pourtant, les risques associés sont bien identifiés : lorsqu’on interroge les responsables IT sur la possibilité que des employés accèdent à des données sensibles au sein du système d’information, 81% pensent que cela est tout à fait probable, dont 23,5% déclarant que cela était déjà arrivé.
Les menaces internes jugées moins importantes
Si 41,5% des entreprises disposent de procédures contre le vol de données confidentielles en interne, environ 34,5% des personnes interrogées pensent que les systèmes en place ne sont soit pas appliqués, soit pas satisfaisants. 15% ne savent même pas si ce type de procédure existe dans leur entreprise et 9% confirment ne pas en avoir du tout. Parmi ces derniers exempts de tout contrôle de sécurité, 15% des personnes interrogées pensent que cela n’est tout simplement « pas nécessaire ».
En ce qui concerne les procédures de sécurité élémentaires, l’étude montre qu’environ 30% des personnes interrogées ne procèdent toujours pas au renouvellement de leurs mots de passe. Parmi eux, il y a ceux qui savent que c’est nécessaire mais qui ne le font pas (24%) mais aussi 5,5% des répondants qui estiment que cela ne sert à rien !
« Les entreprises françaises sont sensibilisées aux risques majeurs de sécurité mais les bonnes pratiques ne sont toujours pas appliquées, confie Jean-Pierre Carlin, Directeur Europe du Sud chez LogRhythm. Les données des entreprises ne sont peut-être pas aussi critiques que celles de la NSA, il n’en reste pas moins étonnant que les employés ne soient pas plus impliqués par la direction sur cette pratique essentielle pour la sécurité de leurs données alors que la menace est bien réelle. Il est très surprenant que des procédures aussi basiques que le renouvellement régulier de mot de passe ne soient pas encore systématiquement appliquées. »
Selon cette étude, le manque d’information, mais aussi d’implication de la part des directions à se saisir de ces problématiques, engendre une sorte de laisser-aller sur la question de l’accès aux données, surtout en interne. Malgré les inquiétudes justifiées, les stratégies et procédures en place restent insuffisantes à ce jour. La formation des employés, l’application systématique des bonnes pratiques liées au contrôle d’accès et à la gestion des mots de passe est aujourd’hui indispensable pour initier une vraie stratégie de sécurité des données. Sans compter que ces mesures doivent elles-mêmes être complétées par d’autres procédures régissant l’ensemble des questions relatives à la protection des ressources de l’entreprise, que ce soit en matière de contrôle d’accès, ou de sanction des employés en cas de manquement ou de mauvaise application des règles de sécurité.
Malgré l’augmentation du nombre de failles de données, auxquelles viennent s’ajouter le vol et la perte de plus de 2 milliards d’enregistrements de données à travers le monde depuis 2013, les entreprises restent convaincues que les technologies de sécurité périmétrique sont efficaces pour protéger leurs données. Telles sont les conclusions d’une nouvelle étude publiée par SafeNet, Inc., un des leaders mondiaux de la protection des données.
Réalisé par SafeNet, l’indice 2014 de confiance dans la sécurité des données (SafeNet Data Security Confidence Index) indique que pour près de trois quarts (74 %) des décideurs informatiques, le firewall de leur entreprise est efficace contre l’intrusion d’utilisateurs non autorisés (84% pour les répondants français). Cependant, près de la moitié (44 %) admettent que ce firewall a connu une défaillance ou ignorent si une telle situation s’est produite (les français étant eux 34% à admettre une faille et 13% à ignorer si leur entreprise y a été confrontée). De plus, plus de 60 % d’entre eux ne sont pas convaincus que les données seraient en sécurité si des utilisateurs non autorisés réussissaient à forcer la sécurité périmétrique de leur réseau (70% pour les répondants français).
Détail des chiffres par pays accessible ici.
Investissements IT : sécurité périmétrique plutôt que défense en profondeur
Les résultats de l’étude montrent que malgré le nombre croissant des failles réseau et des pertes d’enregistrements de données, les entreprises continuent d’investir davantage dans les technologies de sécurité périmétrique et de lutte contre les failles de sécurité qu’en faveur des stratégies de défense en profondeur, qui incluent l’authentification multi-facteurs (MFA) et le chiffrement fort des données. Selon l’indice BLI de SafeNet (Breach Level Index), plus de 375 millions d’enregistrements de données clients ont été volés au cours du seul premier semestre 2014, soit une hausse de 31 % par rapport à la même période de l’année précédente.
L’étude révèle par ailleurs que pour 93 % des décideurs informatiques, les investissements effectués par leur entreprise en faveur de la sécurité périmétrique ont augmenté ou sont restés identiques au cours des cinq dernières années (pour 48% des français ce budget en sécurité périmétrique a augmenté), représentant en moyenne 9 % du budget informatique actuellement consacré à l’achat, au déploiement et à la maintenance des technologies de firewall (8% du budget des français). Pour les douze prochains mois, les personnes interrogées indiquent que cette tendance devrait continuer, les dépenses consacrées aux firewalls ne variant pratiquement pas (9,05 %).
Deux tiers des décideurs informatiques (67 %) admettent en outre ne pas envisager de réduire les investissements consacrés aux défenses périmétriques — technologie de firewall, par exemple — pour les remplacer par d’autres technologies (85% en France). D’ailleurs, s’ils devaient abandonner une méthode de protection des données sensibles, les responsables informatiques déclarent en majorité qu’ils supprimeraient les solutions de détection d’anomalies (49 % au niveau mondial, 38% en France) ou de sécurité des données telles que le chiffrement (24 % monde, 28% France), plutôt que la sécurité périmétrique (15 % monde, 21% France).
Une confiance limitée quant à la capacité de prévenir les failles de sécurité et repousser efficacement les cybercriminels
De plus, malgré la confiance élevée qu’ils accordent à la sécurité périmétrique et à son efficacité, les décideurs informatiques se déclarent moins convaincus par la capacité de leur entreprise à protéger les données contre des menaces de sécurité en plein essor. L’étude souligne les points suivants :
· Plus de la moitié (60 % mondialement, 70% en France) des responsables doutent que les données soient en sécurité si des utilisateurs non autorisés parviennent à franchir le périmètre de sécurité de leur réseau.
· Près de la moitié (41 % mondialement, 44% en France) d’entre eux pensent que des utilisateurs non autorisés peuvent accéder à leur réseau.
· Un tiers (34 % mondialement, 35% en France) des décideurs informatiques se disent moins confiants quant à la capacité de l’industrie de la sécurité à détecter les menaces de sécurité et à les contrer.
· Un quart des décideurs informatiques (25 % mondialement, 22% en France) admettent qu’en tant que client de leur propre entreprise, ils ne lui feraient pas confiance pour stocker et gérer leurs données personnelles.
· Plus de la moitié (53 % mondialement, 41% en France) estiment que les grandes failles de données annoncées dans la presse ont amené leur entreprise à revoir sa stratégie de sécurité.
« Les conclusions de cette étude soulignent quelques contradictions intéressantes entre la façon dont la sécurité des données est perçue et la réalité », a déclaré Tsion Gonen, directeur de la stratégie de SafeNet. « Il est en revanche inquiétant qu’un si grand nombre d’entreprises continue à mettre tous leurs œufs dans le même panier. Bien que la sécurité périmétrique ne représente qu’une simple couche de protection, bon nombre d’entreprises l’utilisent comme socle de leur stratégie de sécurité de données alors que dans la réalité, ce périmètre n’existe plus. Le simple volume de failles de données indique à lui seul que si un cybercriminel veut pirater le système ou voler des données, il trouvera le moyen d’arriver à ses fins. C’est pourquoi les entreprises doivent se concentrer sur le plus important, c’est-à-dire la protection des données. Elles doivent à cet effet définir des stratégies de sécurité plus intelligentes et associer les technologies de défense en profondeur et d’authentification multi-facteurs tout en intégrant directement la sécurité dans les données grâce au chiffrement. »
